DE102012201803A1

DE102012201803A1 - Security relevant system

Info

Publication number: DE102012201803A1
Application number: DE102012201803A
Authority: DE
Inventors: Rudolf Temming
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2012-02-07
Filing date: 2012-02-07
Publication date: 2013-08-08
Also published as: WO2013117396A1

Abstract

Die Erfindung betrifft ein sicherheitsrelevantes System, insbesondere Eisenbahnsicherungssystem (2), mit einer im Fehlerfall reagierenden Einrichtung zum dauerhaften Erzwingen eines sicheren Zustandes, insbesondere Abschaltzustandes, des Systems, wobei besonders hohe Zuverlässigkeit bei verringertem Energiebedarf erreicht wird, indem die Einrichtung mindestens zwei remanente Speicher (4a, 4b) aufweist, wobei jeder Speicher (4a, 4b) im Fehlerfall den sicheren Zustand erzwingt.The invention relates to a safety-relevant system, in particular a railway safety system (2), with a device responding in the event of an error for permanently enforcing a safe state, in particular shutdown state of the system, with particularly high reliability is achieved with reduced energy requirements by the device at least two remanent memory ( 4a, 4b), wherein each memory (4a, 4b) enforces the safe state in the event of an error.

Description

Die Erfindung betrifft ein sicherheitsrelevantes System, insbesondere Eisenbahnsicherungssystem, mit einer im Fehlerfall reagierenden Einrichtung zum dauerhaften Erzwingen eines sicheren Zustandes, insbesondere Abschaltzustandes, des Systems. The invention relates to a safety-relevant system, in particular railway safety system, with a responsive device in the event of a fault for permanently enforcing a safe state, in particular shutdown, the system.

Die nachfolgende Beschreibung bezieht sich im Wesentlichen auf Eisenbahnsicherungssysteme, ohne dass die Erfindung auf diese spezielle Anwendung beschränkt ist. Vielmehr kann die Erfindung bei verschiedensten sicherheitsrelevanten Systemen, beispielsweise für industrielle Fertigungsprozesse oder Fahrzeuge aller Art, eingesetzt werden. The following description refers essentially to railway safety systems, without the invention being restricted to this specific application. Rather, the invention in a variety of safety-related systems, for example, for industrial manufacturing processes or vehicles of all kinds, can be used.

Entsprechend der Norm EN 50129 muss für sicherheitsrelevante Systeme nach Auftreten des ersten Systemfehlers, beispielsweise des Ausfalls einer Systemkomponente, ein sicherer Zustand erzwungen und beibehalten werden. Der sichere Zustand ist gegeben, wenn die Systemsicherheit auch nach einem Fehler oder Ausfall weiterhin bewahrt ist. Unter sicherheitsrelevantes System sind hier auch Teilsysteme subsumiert, deren Fehlerverhalten separat betrachtet werden kann. Beispielsweise kann ein einzelnes Lichtsignal an einer Eisenbahnstrecke ein sicherheitsrelevantes System darstellen. Im Fehlerfall, beispielsweise Ausfall der Ansteuerbarkeit, muss gewährleistet sein, dass die Sicherheit des Bahnbetriebes nicht, beispielsweise durch ein dauerleuchtendes Grünsignal, beeinträchtigt ist. Bei dem Beispiel wird das erreicht, indem das Grünsignal dauerhaft ausgeschaltet wird und – wenn möglich – das Rotsignal eingeschaltet wird. According to the Standard EN 50129 For safety-relevant systems, after the occurrence of the first system error, for example the failure of a system component, a secure state must be forced and maintained. The safe state is given if the system security is still preserved even after a fault or failure. Under safety-relevant system subsystems are also subsumed, whose fault behavior can be considered separately. For example, a single light signal on a railway line can be a safety-relevant system. In the event of a fault, for example failure of the controllability, it must be ensured that the safety of the railway operation is not impaired, for example by a continuous green signal. In the example, this is achieved by permanently switching off the green signal and, if possible, turning on the red signal.

Für die Ausschaltung im Fehlerfall werden häufig Schmelzsicherungen eingesetzt. Nach deren Abschmelzen ist der Stromkreis dauerhaft unterbrochen. Weit verbreitet für diesen Zweck ist auch der Einsatz monostabiler Relais, die im fehlerfreien Systemzustand aktiv sind und im Fehlerfall durch Stromlosschaltung der Relaisspule dauerhaft inaktiv werden, wodurch ein definierter Schaltzustand, zum Beispiel Stromkreisunterbrechung, eingenommen wird. Nach einer Sicherheitsabschaltung muss das Wartungspersonal beurteilen, ob das System oder die Komponente wieder eingeschaltet werden darf. Auch der Einsatz von bistabilen Relais ist denkbar, wobei jedoch für Bahnbetriebsprozesse ein Risiko wegen Erschütterungen in Gleisnähe, die den Zustand des bistabilen Relais ändern könnten, berücksichtigt werden muss. For the elimination in case of failure fuses are often used. After their melting, the circuit is permanently interrupted. Also widely used for this purpose is the use of monostable relays, which are active in error-free system state and permanently inactive in case of failure by Stromlosschaltung the relay coil, whereby a defined switching state, for example circuit interruption is taken. After a safety shutdown, maintenance personnel must assess whether the system or component may be turned on again. The use of bistable relays is conceivable, but for railway operations a risk due to vibrations near the track, which could change the state of the bistable relay, must be considered.

Nachteilig bei diesen bekannten Einrichtungen zum fehlerbedingten Erzwingen des sicheren Systemzustandes ist neben den hohen Kosten für mehrfache Auslöseschaltungen bei Sicherungen und für Ansteuerung und Rücklesung bei Abschaltrelais vor allem deren geringe mittlere Betriebsdauer zwischen Ausfällen, auch als MTBF – Mean Time Between Failures – bezeichnet. A disadvantage of these known devices for error-related enforcement of the safe system state is in addition to the high cost of multiple tripping circuits for fuses and for control and readback at shutdown especially their low average operating time between failures, also known as MTBF - Mean Time Between Failures.

Der Erfindung liegt die Aufgabe zugrunde, diese Nachteile zu beseitigen und ein sicherheitsrelevantes System mit einer hinsichtlich Kosten und Verfügbarkeit verbesserten Einrichtung zum Erzwingen des sicheren Zustandes anzugeben. The invention has for its object to overcome these disadvantages and to provide a safety-related system with an improved in terms of cost and availability means for enforcing the safe state.

Die Aufgabe wird erfindungsgemäß dadurch gelöst, dass die Einrichtung mindestens zwei remanente Speicher aufweist, wobei jeder Speicher im Fehlerfall den sicheren Zustand erzwingt. The object is achieved in that the device has at least two remanent memory, each memory enforces the safe state in the event of an error.

Da der remanente Speicher einen wesentlich besseren MTBF als Relais oder Sicherungen aufweist, ergibt sich ein weiterer Sicherheitsgewinn. Störanfällige und oft schwierig zu dimensionierende Auslöseschaltungen für Sicherungen sowie Ansteuerungen für Abschaltrelais sind entbehrlich. Die Baugruppe mit dem remanenten Speicher wird im Gegensatz zu einer Baugruppe mit Sicherungen im Fehlerfall nicht zerstört und kann nach Fehlerbehebung durch Software in den Ursprungszustand für ein fehlerfreies System zurückgesetzt werden. Der remanente Speicher ist außerdem unempfindlich gegenüber Erschütterungen in Gleisnähe oder im Fahrzeug. Vorteilhaft ist darüber hinaus, dass die Information über den sicheren Zustand auch nach Spannungswiederkehr vorliegt. Durch die Redundanz der remanenten Speicher ist auch der Fall, dass ein Speicher ausfällt, abgesichert. Since the remanent memory has a much better MTBF as a relay or fuses, there is another gain in security. Fault-prone and often difficult to dimension triggering circuits for fuses and controls for switch-off relays are unnecessary. In contrast to an assembly with fuses, the module with the remanent memory is not destroyed in the event of a fault and can be reset to the original state for a fault-free system after the software has been troubleshooted. The remanent memory is also insensitive to vibrations near the track or in the vehicle. It is also advantageous that the information about the safe state is present even after the power returns. Due to the redundancy of the remanent memory, the case that a memory fails is also protected.

Gemäß Anspruch 2 ist vorgesehen, dass der remanente Speicher als EEPROM ausgebildet ist. Dieser nicht flüchtige elektronische Speicherbaustein ist besonders kostengünstig und für diverse Anwendungen vielfach bewährt. Der remanente Speicher kann natürlich auch auf Flash-Technologie beruhen oder in anderer Weise realisiert sein. According to claim 2, it is provided that the remanent memory is designed as an EEPROM. This non-volatile electronic memory module is particularly cost-effective and proven in many applications. Of course, the remanent memory can also be based on flash technology or realized in another way.

Um im Fehlerfall eine Abschaltung des sicherheitsrelevanten Systems zu bewirken, ist jeder remanente Speicher gemäß Anspruch 3 mit einem Schalter verbunden, der unmittelbar beim Auftreten des ersten Fehlers oder Ausfalls von dem jeweils zugeordneten remanenten Speicher zum Stromlosschalten des sicherheitsrelevanten Systems betätigt wird. In order to bring about a shutdown of the safety-relevant system in the event of an error, each remanent memory is connected according to claim 3 with a switch which is actuated immediately upon the occurrence of the first fault or failure of the respective remanent memory for Stromlosschaltung the safety-relevant system.

Bei einer besonders vorteilhaften Ausführungsform gemäß Anspruch 4 ist vorgesehen, dass jeder remanente Speicher einem Controller zugeordnet ist, wobei der Controller im fehlerfreien Systemzustand einen ersten Speicherwert und im Fehlerfall einen zweiten Speicherwert des Speichers setzt. Der Controller verfügt ständig – üblicherweise durch zyklische Abfrage – über aktuelle Statusinformationen bezüglich des sicherheitsrelevanten Systems. Im Fehlerfall steuert der Controller den remanenten Speicher derart an, dass dieser in seinen Remanenzzustand gebracht wird und infolgedessen ein Eingriff in das sicherheitsrelevante System ausgelöst wird, der dieses in den sicheren Zustand dauerhaft überführt. Besonders vorteilhaft ist, dass sicherheitsrelevante Systeme üblicherweise bereits mit Controllern und remanenten Speichern ausgestattet sind, so dass diese primär für andere Funktionen vorgesehenen Baugruppen für die Sicherheitsabschaltfunktion mitbenutzt werden können. Dadurch ergeben sich keine zusätzlichen Kosten und auch kein zusätzlicher Platzbedarf, wodurch auch Prüfkosten und Fertigungskosten gespart werden. Durch den geringen Energiebedarf des Controllers, vorzugsweise Mikrocontrollers, ist ein dezentraler Einsatz des sicherheitsrelevanten Systems mit autonomer Energieversorgung problemlos möglich. Der erhebliche Leistungsbedarf eines Abschaltrelais erschwert hingegen einen dezentralen Einsatz beziehungsweise macht diesen unmöglich. In a particularly advantageous embodiment according to claim 4, it is provided that each remanent memory is assigned to a controller, wherein the controller sets a first memory value in the error-free system state and, in the event of an error, a second memory value of the memory. The controller constantly has up-to-date status information regarding the safety-relevant system, usually by means of cyclic polling. In the event of an error, the controller controls the remanent Memory in such a way that it is brought into its remanent state and as a result an intervention in the safety-relevant system is triggered, which permanently transfers this to the safe state. It is particularly advantageous that safety-relevant systems are usually already equipped with controllers and remanent memories, so that these primarily intended for other functions modules can be shared for the Sicherheitsabschaltfunktion. This results in no additional costs and no additional space, which also saves testing costs and production costs. Due to the low energy requirement of the controller, preferably microcontroller, a decentralized use of the safety-relevant system with autonomous energy supply is possible without problems. On the other hand, the considerable power requirement of a switch-off relay complicates decentralized use or makes it impossible.

Die Erfindung wird nachfolgend anhand eines figürlich dargestellten Ausführungsbeispiels näher erläutert. The invention will be explained in more detail with reference to an embodiment shown figuratively.

Die Figur zeigt ein sicherheitsrelevantes System mit einer erfindungsgemäßen Einrichtung zur vorgeschriebenen Abschaltung des Systems bei definierten Ausfällen oder Fehlern des Systems. Die Einrichtung besteht im Wesentlichen aus zwei redundanten Betrachtungseinheiten 1a und 1b, die auch Bestandteil des Systems, beispielsweise eines Eisenbahnsicherungssystems 2, sein können, wobei jede Betrachtungseinheit 1a und 1b einen Mikrocontroller 3a und 3b aufweist. Der Mikrocontroller 3a beziehungsweise 3b verfügt jeweils über einen remanenten Speicher 4a beziehungsweise 4b, welcher mit einer Prüfkomponente 5a beziehungsweise 5b und einer Anwendungskomponente 6a beziehungsweise 6b zusammenwirkt. Über die Anwendungskomponente 6a beziehungsweise 6b ist der remanente Speicher 4a beziehungsweise 4b mit einem Schalter 7a beziehungsweise 7b im Strompfad 8 des sicherheitsrelevanten Systems verbunden. Im fehlerfreien Zustand, das heißt im Normalbetrieb, setzt der Mikrocontroller 3a beziehungsweise 3b einen Speicherwert, zum Beispiel AA Hex im remanenten Speicher 4a beziehungsweise 4b. Außerdem erfolgt eine zyklische Kommunikation 9 zwischen den beiden Prüfbaukomponenten 5a und 5b zwecks Austauschs des Systemzustandes. Wird ein Fehler im sicherheitsrelevanten System erkannt, setzt der Mikrocontroller 3a beziehungsweise 3b den Speicherwert des remanenten Speichers 4a beziehungsweise 4b auf Sicherheitsabschaltung, zum Beispiel mittels eines Speicherwertes 55 Hex. Bei diesem Zustand endet die Kommunikation 9 zwischen den Mikrocontrollern 3a und 3b. Der remanente Speicher 4a beziehungsweise 4b steuert aufgrund des fehlerbedingten Speicherwertes 55 Hex über die Anwendungskomponente 6a beziehungsweise 6b den jeweils zugeordneten Schalter 7a beziehungsweise 7b an, um den Strompfad 8 stromlos zu schalten und damit das sicherheitsrelevante System in einen sicheren Zustand zu zwingen, beispielsweise abzuschalten. The figure shows a safety-relevant system with a device according to the invention for the prescribed shutdown of the system with defined failures or errors of the system. The device consists essentially of two redundant viewing units 1a and 1b , which is also part of the system, such as a railway safety system 2 , which can be any consideration unit 1a and 1b a microcontroller 3a and 3b having. The microcontroller 3a respectively 3b Each has a remanent memory 4a respectively 4b , which with a test component 5a respectively 5b and an application component 6a respectively 6b interacts. About the application component 6a respectively 6b is the remanent memory 4a respectively 4b with a switch 7a respectively 7b in the current path 8th connected to the safety-relevant system. In the error-free state, that is, in normal operation, sets the microcontroller 3a respectively 3b a memory value, for example AA Hex in the remanent memory 4a respectively 4b , In addition, a cyclic communication takes place 9 between the two test components 5a and 5b for the purpose of exchanging the system state. If an error is detected in the safety-relevant system, the microcontroller resets 3a respectively 3b the memory value of the remanent memory 4a respectively 4b to safety shutdown, for example by means of a memory value 55 Hex. In this state, the communication ends 9 between the microcontrollers 3a and 3b , The remanent memory 4a respectively 4b controls due to the error-related memory value 55 Hex over the application component 6a respectively 6b the respective associated switch 7a respectively 7b to the rung 8th de-energized and thus force the safety-related system in a safe state, for example, turn off.

Letztlich ersetzt der remanente Speicher 4a beziehungsweise 4b, der prinzipiell auch in nichtredundanter Bauform, das heißt nur einmal, vorgesehen sein kann, eine zusätzliche Komponente mit Schmelzsicherungen oder Abschaltrelais, wodurch deren oben geschilderten Nachteile nicht auftreten. Ultimately, the remanent memory replaces 4a respectively 4b , which in principle may also be provided in nichtredundanter design, that is, only once, an additional component with fuses or disconnect relays, whereby the above-mentioned disadvantages do not occur.

ZITATE ENTHALTEN IN DER BESCHREIBUNG QUOTES INCLUDE IN THE DESCRIPTION

Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.This list of the documents listed by the applicant has been generated automatically and is included solely for the better information of the reader. The list is not part of the German patent or utility model application. The DPMA assumes no liability for any errors or omissions.

Zitierte Nicht-PatentliteraturCited non-patent literature

Standard EN 50129 [0003]

Claims

Safety relevant system, in particular railway safety system ( 2 ), with a device responding in the event of an error for permanently enforcing a safe state, in particular shutdown state, of the system, characterized in that the device has at least two remanent memories ( 4a . 4b ), each memory ( 4a . 4b ) forces the safe state in case of error.

Safety relevant system according to claim 1, characterized in that the remanent memory ( 4a . 4b ) is designed as EEPROM.

Safety-relevant system according to one of the preceding claims, characterized in that each remanent memory ( 4a . 4b ) a switch ( 7a . 7b ) to force the safe state.

Safety-relevant system according to one of the preceding claims, characterized in that each remanent memory ( 4a . 4b ) is assigned to a controller, wherein the controller in the error-free system state has a first memory value and in the event of an error a second memory value of the memory ( 4a . 4b ) puts.